Daxili ALB, açıq DNS adı: həqiqətən ifşa olunubmu?
Açıq resolver daxili AWS yük balanslaşdırıcısı üçün şəxsi ünvanlar qaytara bilər. Onu ifşa olunmuş adlandırmadan əvvəl sxemi, yolları və listener-i yoxlayın.
Daxili yük balanslaşdırıcısına qarşı açıq DNS sorğusu işlədin və şəxsi ünvan ala bilərsiniz; bu, qeydin nə üçün olduğunu yoxlayana qədər səhv konfiqurasiya kimi görünür. AWS sənədləşdirir ki, daxili yük balanslaşdırıcısı adları açıq şəkildə həll oluna bilər, halbuki onların node-ları yalnız şəxsi ünvanlar saxlayır. Resolver xidmətin harada olduğunu cavablandırdı; o, marşrut yaratmadı, təhlükəsizlik qrupu açmadı və heç kəsi autentifikasiya etmədi. Bu cavabın problem olub-olmadığı sıra ilə yoxlaya biləcəyiniz faktlardan asılıdır.
Birinci addım: IP-ni deyil, sxemi oxuyun
Sxem sahəsi yük balanslaşdırıcısının öz sərhədi barədə bəyanatıdır. aws elbv2 describe-load-balancers --names app-internal ya internal, ya da internet-facing dəyərində Scheme qaytarır, üstəgəl IPv4 və ya ikiqat stack üçün ünvan tipi. İnternetə baxan yük balanslaşdırıcısı yenə də şəxsi hədəflərə yönləndirə bilər, ona görə şəxsi backend ünvanlarını görmək ön tərəf barədə heç nə sübut etmir.
Sxemi başqa bir şeyə baxmadan yazın, çünki sonrakı hər mühakimə ondan asılıdır. O, həmçinin hansı nəzarətlərin mövcud olduğunu bildirir: təhlükəsizlik qrupları və listener qaydalarından tutmuş həmin yük balanslaşdırıcısı tipinin funksiyalarına qədər. Köhnə konsol ekran görüntüsündən kopyalanmış sxem heç bir qeyddən pisdir. Onu API-dən yenidən oxuyun və dəyəri bilete yapışdırın.
İkinci addım: adın hara həll olunduğuna baxın
VPC-dən kənarda dig +short app-internal-1234567890.eu-west-1.elb.amazonaws.com ilə sorğu göndərin və cavabların 10.0.0.0/8, 172.16.0.0/12 yoxsa 192.168.0.0/16 aralığında olduğunu qeyd edin. Açıq resolver-dən şəxsi cavab daxili yük balanslaşdırıcısı adı üçün gözlənilən davranışdır; bu, ünvanın internetdən marşrutlaşdırıla bildiyinə dəlil deyil.
Eyni adı VPC-nin içindən həll edin və müqayisə edin. Əgər iki cavab fərqlənirsə, siz split-horizon adlandırması ilə üz-üzəsiniz və bu fərq sızma deyil, dizayn detallıdır.
Üçüncü addım: ona çata bilən yolları sadalayın
Şəxsi ünvan marşrut və təhlükəsizlik qaydası olan hər yerdən əlçatandır. Onları qəsdən sadalayın: site-to-site VPN, müştəri VPN, VPC peerinq, transit gateway qoşmaları, Direct Connect və VPC daxilində hər hansı proxy və ya bastion. Onlardan biri nəzərdə tutulan yoldur, qalanları isə hücumçunun axtaracağı yollardır.
Sonra hər yoldakı nəzarətləri yoxlayın: yük balanslaşdırıcısındakı təhlükəsizlik qrupları, subnet-lərdəki şəbəkə ACL-ləri və yolun ümumiyyətlə mövcud olmasını təmin edən marşrutlaşdırma. Bildirilən daxili xidmət ifşası hallarının çoxu burada həll olunur: ya nəzərdə tutulmayan peerinq olub, ya da yol nəzərdə tutulub və tətbiqin autentifikasiyası olmayıb.
Dördüncü addım: listener-i və tətbiqi ayrı-ayrılıqda yoxlayın
Xidmətə çatmamalı olan şəbəkədən qoşulmağa çalışın və çata bilmədiyinizi təsdiqləyin. Sonra çatmalı olan şəbəkədən cəhd edin və listener-ə çatdığınızı təsdiqləyin. Bu iki nəticə şəbəkə əlçatanlığını tətbiq davranışından ayırır və ifşa sualı üçün əhəmiyyətli yeganə dəlildir.
Əlçatan listener əlçatan tətbiq demək deyil. TLS sertifikatını və protokol siyasətini, sonra tətbiqin öz autentifikasiya və avtorizasiyasını yoxlayın. Korporativ VPN-də hər zəng edəni qəbul edən daxili alət həmin VPN-dəki hər kompromisə uğramış noutbuka açıqdır; bu, internetə baxan riskdən fərqli, amma yenə də risktir.
Unutmayın ki, nəzarətlər tipə görə fərqlənir. Tətbiq qatı firewall-ları bir yük balanslaşdırıcısı ailəsinə qoşulur, digərinə yox, ona görə bərabərlik fərz etmək əvəzinə qarşınızdakı sxem və tip üçün həqiqətən nəyin mövcud olduğunu təsdiqləyin.
Beşinci addım: adın özünün əhəmiyyətli olub-olmadığına qərar verin
Açıq həllolunma xidmət adını, regionu və ünvan aralığını ifşa edə bilər. Buna avtomatik insident deyil, siyasət cavabı olan məlumat ifşası sualı kimi yanaşın: həssas biznes terminlərini resurs adlarından kənarda saxlayın və adlandırma konvensiyası istədiyinizdən çoxunu açırsa, ifşanı risk qeydinizdə qeyd edin.
Təşkilat şəxsi adlandırma təcrübəsi istəyirsə, şəxsi host edilmiş zona yalnız əlaqəli VPC-lərin içində həll olunan alias verə bilər. Bu, istifadəçilərin gördüyü adı dəyişir; provayderin yaratdığı adı gizli etmir və heç bir şəbəkə yolunu silmir.
Cavabı gizlətmək üçün ünvanları sabitləməyə çalışmayın. Yük balanslaşdırıcısı ünvanları dəyişir, sabitləmə TLS yoxlama vərdişlərini pozur və həqiqətən lazım olan nəzarət kimin bağlantı qura bildiyi və tətbiqin onlardan nə tələb etdiyidir. Dörd faktı yoxlayın, yazın və sual qeyri-müəyyən olmaqdan çıxır.